服務器數(shù)據(jù)恢復環(huán)境：

一臺某品牌PowerEdge系列服務器和一臺PowerVault系列存儲，上層是ESXI虛擬機文件，虛擬機中運行SQL Server數(shù)據(jù)庫。

服務器故障：

機房非正常斷電導致虛擬機無法啟動。管理員檢查虛擬機發(fā)現(xiàn)虛擬機配置文件丟失，所幸的是xxx-flat.vmdk磁盤文件和xxx-000001-delta.vmdk快照文件沒有丟失。管理員嘗試恢復虛擬機，將原虛擬機的xxx-flat.vmdk刪除后新建了一個虛擬機，分配了幾百GB的精簡模式和幾百GBGB的快照數(shù)據(jù)盤，但是并沒有將原虛擬機內的數(shù)據(jù)恢復出來。

服務器數(shù)據(jù)恢復過程：

1、將掛載在VMware vSphere Client上的卷卸載后做鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始數(shù)據(jù)造成二次破壞。

2、經(jīng)過對鏡像文件進行檢測&分析后發(fā)現(xiàn)：a、斷電導致虛擬機目錄項已經(jīng)損壞;b、刪除文件操作導致文件的數(shù)據(jù)區(qū)索引被清除;c、重建虛擬機操作導致分配給新建虛擬機的磁盤空間的數(shù)據(jù)底層被清零。前兩種情況可以通過人工修復來恢復數(shù)據(jù)，但如果第三種情況是新建虛擬機的磁盤空間占用了原虛擬機的釋放空間，這部分空間的數(shù)據(jù)則無法恢復，需要進一步檢測才能確定是否出現(xiàn)這種情況。

虛擬機目錄項:

北亞企安數(shù)據(jù)恢復——VMware虛擬機數(shù)據(jù)恢復

3、數(shù)據(jù)恢復工程師分析底層數(shù)據(jù)，在自由空間內排查被刪除的虛擬機磁盤區(qū)域，掃描這部分區(qū)域發(fā)現(xiàn)了大量的碎片并拼接&重組這些碎片，但是經(jīng)過拼接&重組后發(fā)現(xiàn)有部分碎片文件缺失，只能暫時將缺失的文件碎片位置留空。

4、利用虛擬磁盤快照程序將重組好的父盤和快照盤合并，生成一個新的虛擬磁盤。

5、解釋虛擬磁盤中的文件系統(tǒng)，因為數(shù)據(jù)缺失，文件系統(tǒng)解釋過程中出現(xiàn)很多報錯，提示某些文件損壞。

文件系統(tǒng)解釋結果:

北亞企安數(shù)據(jù)恢復——VMware虛擬機數(shù)據(jù)恢復

6、在解析完文件系統(tǒng)后發(fā)現(xiàn)沒有找到原始的數(shù)據(jù)庫文件。宏橋備份和索菲備份這兩個目錄的目錄結構正常，但是在嘗試將備份導入到數(shù)據(jù)庫中時提示報錯。

宏橋備份和索菲備份的部分目錄結構：

北亞企安數(shù)據(jù)恢復——VMware虛擬機數(shù)據(jù)恢復

導入.BAK文件報錯信息:

北亞企安數(shù)據(jù)恢復——VMware虛擬機數(shù)據(jù)恢復

7、根據(jù)SQL Server數(shù)據(jù)庫的結構去自由空間中找到數(shù)據(jù)庫的開始位置。SQL Server數(shù)據(jù)庫的庫名通常在庫的第九頁內，根據(jù)這一特性在底層掃描數(shù)據(jù)庫頁碎片，然后利用掃描出來的碎片重組mdf文件，在本案例中除了cl_system3.dbf和erp42_jck.dbf因有部分碎片

沒有找到外(極有可能被覆蓋了)，其余數(shù)據(jù)庫均校驗成功。

校驗完的MDF文件：

北亞企安數(shù)據(jù)恢復——VMware虛擬機數(shù)據(jù)恢復

cl_system3.dbf文件中某個碎片丟失的區(qū)域：

北亞企安數(shù)據(jù)恢復——VMware虛擬機數(shù)據(jù)恢復

8、詳細檢查備份文件依然沒有找到這兩個丟失的文件，只有部分增量備份文件。由于erp42_jck.dbf文件中只缺失少量的頁，根據(jù)缺失的頁號在增量備份中查找，再將找到的頁補到erp42_jck.dbf文件中，通過這個辦法可以恢復一部分丟失的數(shù)據(jù)庫頁。但是補完后發(fā)現(xiàn)還是缺失部分頁，無法正常使用。

9、通過北亞企安自主開發(fā)的數(shù)據(jù)庫解析程序將erp42_jck.dbf文件中重要的幾十張表導出，并導入到新建的數(shù)據(jù)庫中，恢復出缺失的文件。

10、重新搭建原始環(huán)境，將恢復出來的數(shù)據(jù)導入到新搭建的環(huán)境中，由用戶親自驗證數(shù)據(jù)庫的完整性，驗證后確認所有數(shù)據(jù)完整、數(shù)據(jù)庫掛載成功、上層應用運行正常，本次數(shù)據(jù)恢復工作完成。

審核編輯：湯梓紅